Identity-Aware Proxy колдонсоңуз, сизге дагы эле VPN керекпи?

Божомол былай: идентификацияны билген прокси ички колдонмолордун алдына турганда эле VPN жөн гана жасалга болуп, кардар кете алат. Бул бир тар жагдайга гана туура — адам браузерде пайдаланатын интерактивдүү HTTPS колдонмосу — жана калган бардык жерде үнсүз жана ушул бойдой катайт. Прокси сурамды ресурска карата авторизациялайт; VPN кардарды тармактык аймакка киргизет, жана бул эки чек араңда сирек дал келет. Туннелди жок кылуудан мурун адамдарыңыз ыраатта жүргүзгөн операцияларды салыштырыңыз, диаграммадагы продукт жазууларын эмес.

Эки капка ар кандай нерселерге уруксат берет

Колдонмо капкасы бул сурам бул идентификациядан бул корголгон ресурска жете алабызбы шечет. Googleдун Identity-Aware Proxy шолуу дал ошондой форманы сүрөттөйт: HTTPS колдонмолордун алдындагы IAM ролу башкарган борбордук авторизация катмары. Чек — ресурс, ал кирүү бирдиги — сурам. Маршрутталган VPN бироо губураак жана кеңиреэк иш жасайт: кардарды аныкталган тармактык аймакка киргизет, андан кийин колдонмо бул кардар эмнени жасай алатыны аныктайт.

Эки моделдин бири да экинчисин билдирбейт. Капкадан өтүү анык жазууну окуу тууралуу эч нерсе айтпайт, ал тармакта болуу аракет жасоого руксат тууралуу эч нерсе айтпайт.

Прокси эмнени камтыбайт, VPN эмнени камтыйт

SSH сессиялары, база дадайындын кардарлары, билдирүү брокерлери жана эч бир браузер ачпаган ички хост аталары веб-прокси бар болгону үчүн гана жеткиликтүү болуп калбайт. Ар бири өз протоколунда сүйлөйт, жана ар бирине же өзүнүн аутентификацияланган жолу же болбосо, аны ташыган тармак же болбосо керек. Бул — көчүрүүнүн биринчи күнү адамдар табатын бөлүнүү, көбүнчө хост аталын эми чече албаган ноутбугу бар кезекчи инженерден.

Каршы бөлүнүү да ошондой эле реалдуу. Кардарды ички тармакка киргизген VPN анын ичиндеги адамды аутентификациялабайт, жана ошол ички тармактагы бузулган түзүлүк тармак руксат кылгандын баардыгын мурас алат. Эгер талап аудиттелетуу идентификация менен ар бир сурамга авторизация болсо, жөн гана маршруттоо аны бере албайт. Көп ұюмдар акырында экөөн ү жүргүзөт, жана кызыктуу суроо — кайсы ресурстун алдында кайсысы тура алат.

Кардардын жумуш агымы архитектура диаграммасынан көбүрөөк чечет

Кайта багыттоо жана кейде MFA чакыруусу менен браузерде кирүү беттемени баскан адам үчүн жакшы тажрыйба. cron жумушунун, CLI же build агентинин браузери жок жана ал интерактивдүү сурамга жооп бере албайт, ошондой ага документтелген интерактивдүү эмес жол же болбосо, туннел же болбосо керек. Бул талаптын ачылышы көбүнчө дизайн бекитилгенден кийин болот.

Колдонмолорду саноодон мурун кардарларды санаңыз. Бир панел жүз адамга кызмат кыла алат; бир база дадайын порту бүтөн команданы бөгөп коюу мүмкүн.

Түзүлүктүн абалы эки капканын да касиети эмес

VPN кардарын орнотуу — сайкештик текшерүү эмес, ал браузерге негизделген дизайн башкарылуучу түзүлүктөр саясатын сактоого автоматтык түрдө жөндөмү жок. Экөө тең абал сигналдары менен интеграциялана алат, жана экөөн аларсыз жайгаштырууга болот. Продукттун формасынан жыйынтык чыгаруунун орнуна, кандай мажбурлоо бар, саясат кимдики жана аны бузган түзүлүккө эмне болорун сураңыз.

Ошондой эле сактык кирүүнү жойууга да тиешелүү. Проксидеги топ мүчөлүгун жоюу жана туннелдин күбөлөгүн кайтарып алуу — ар башка кечигүүсү бар ар башка операциялар, жана алардын бирөө көбүнчө жумуштан кеткенде унутулат.

Бир нерсени жок кылуудан мурун альтернатива жолдорду табыңыз

Проксинин артындагы коргонбогон башталыш, аны айланып өтүүчү экинчи хост аталы же болбосо, мурунку дизайндан калган кең жеке маршрут же болбосо, кайсы капка ыраатта күчүндө экенин чечет. Руксат кылынган жана баш тартылган операцияны ырааттагы кардар аркылуу сынаңыз, консол аркылуу эмес, жана аларды эч качан тиркелбеген түзүлүктөн сынаңыз. Баш тартылган жагдай капка жалпы бир нерсе жасап жатканын айтат.

Андан кийин өткөрүп берүүнү жазыңыз: каттоо, жаңыртуулар, кирүүнү жою жана түнкү саат 2де сыртта кулупталган адамга калыбына келтирүү жолу. Сурамды же кардардык колдонмону алып салуу жоопкерчиликти командалар арасында жылдырат; ал жоопкерчиликти жок кылбайт.

Бул аптада чечим кылсаңыз, продуктулардын тизмесинен эмес, операциялардын тизмесинен баштаңыз, кайсыларын браузер аткара аларын белгилеңиз, ал калгандары аман калган тармактык кирүүнү негиздесин.